Cisco Secure Email GatewayのSQLインジェクション悪用
Ciscoの2026年9月14日〔注1〕のアドバイザリによると、Cisco Secure Email GatewayのAsyncOS Softwareのメール解析に、未認証の遠隔の攻撃者がroot権限で任意のコマンドを実行しうるSQLインジェクションの脆弱性CVE-2026-76461があり、Cisco PSIRTが9月に悪用を把握した［1］。Ciscoは10月31日に、15.5.5-014の修正の更新版を出している［1］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-76461（Cisco Bug ID CSCwu56234） | ［1］ |
| CVSS | 基本値9.8（Cisco。CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） | ［1］ |
| CWE | CWE-89 | ［1］ |
| SSVC | Exploitation active、Automatable yes、Technical Impact total（CISA-ADP） | ［3］ |
Ciscoのアドバイザリによると、原因はメールの解析ロジックの検証の不足である［1］。攻撃者が悪意のあるSQL文を含む細工したメールを影響を受ける機器経由で送り、悪用に成功すると、任意のSQL文を実行して基盤のOS上でのroot権限のコマンド実行に至りうる［1］。脆弱性は、Cisco TACのサポート案件を解決する中で見つかった［1］。
Rapid7は、Cisco Secure Email Gatewayは旧称IronPort Email Security Applianceで、外部から届くメールを処理するため、悪用に管理画面へのアクセスや認証は要らないと説明した［8］。
強化リリースのアドバイザリ
Secure Email GatewayとSecure Email and Web Managerの開発チームは社内のセキュリティ点検を行い、社内で見つかった複数の脆弱性に対処するソフトウェアを出したとCiscoは説明した［2］。脆弱性は既存の試験の手順と最先端のAIモデルを使った社内のセキュリティ試験で見つかり、うち2件は悪用が知られている［2］。Ciscoはそれらの参照先に、SQLインジェクションのアドバイザリと任意ファイル書き込みのアドバイザリを挙げた［2］。
Ciscoは脆弱性をCWEの分類ごとにまとめ、分類ごとに1つのCVEを割り当てている［2］。CVSS基本値は、CVE-2026-76442を7.5、ほかの4件を9.8とした［2］。CVE-2026-76443はコマンド・SQL・コードの注入とXSSを含む分類で、属する1件は悪用が知られ、参照先はSQLインジェクションのアドバイザリである［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-76461の番号が予約された | ［3］ |
| 2026年 | Cisco | アドバイザリの初版と強化リリースのアドバイザリを公開した | ［1、2］ |
| 2026年 | CISA | CVE-2026-76461をKEVカタログに加えた | ［4］ |
| 2026年 | NIST | NVDにCVE-2026-76461を登録した | ［5］ |
| 2026年 | JPCERT/CC | 注意喚起JPCERT-AT-2026-0027を出した | ［6］ |
| 2026年 | HKCERT | Cisco製品の複数の脆弱性の告知を出し、CVE-2026-76461の悪用を理由に危険度をExtremely High Riskとした | ［7］ |
| 2026年 | Cisco | アドバイザリを改訂し、クラスタ構成の機器についての説明を推奨の節に加えた | ［1］ |
| 2026年 | Cisco | 強化リリースのアドバイザリを改訂し、関連アドバイザリへのリンクを加えた | ［2］ |
| 2026年 | Cisco | アドバイザリを改訂し、修正版の表の15.5系の情報を更新した | ［1］ |
対象の製品と版
Ciscoは、影響を受けるのは物理版と仮想版の両方のCisco Secure Email Gatewayで、機器の設定を問わないとした［1］。Secure Email and Web ManagerとSecure Web Applianceは影響を受けないことも確認した［1］。
悪用の状況
CISAはKEVカタログで、対応期限を9月17日とし、ランサムウェアでの利用を「Unknown」、フォレンジックのトリアージを「Yes」とした［4］。求める対応は、ベンダーの指示に従って緩和策を適用し、BOD 26-04の指針とCISAの「Forensics Triage Requirements」に沿うことである［4］。緩和策が無ければ、製品の利用をやめることも求めている［4］。
Rapid7の9月15日の報告では、KEVへの追加がベンダーの公表と同じ日だったことから、Rapid7はCVE-2026-76461が公表前にゼロデイとして悪用されたとみた［8］。報告の公開の段階では、公開されたPoCは無く、攻撃者の帰属も示されていなかった［8］。
CyberScoopは、Ciscoが公表前に複数の顧客が侵害された可能性を示したと報じた［11］。Ciscoの広報担当者は詳細を問われてアドバイザリを示し、悪用を把握していると繰り返した［11］。
SecurityWeekの記事によると、KEVに載ったCisco Secure Email Gatewayの脆弱性は、CVE-2025-20393に次いで2件目である［9］。JPCERT/CCは注意喚起で、同じ製品では過去に別の脆弱性CVE-2025-20393を悪用した侵害が国内で発生したことを確認しているとした［6］。
侵害の痕跡の確かめ方
Ciscoは、悪用の試みを確かめるにはmail_logsで不審なSQL文を探し、クラスタ構成なら各機器のログを見るよう求めた［1］。検索の出力に1件でも行があれば、悪意のある活動を示しうる［1］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| mail_logsの検索の例 | grep -i "COPY.*TO PROGRAM" | Cisco | ［1］ |
| Snortのルール | 3:67109、3:67110 | Cisco | ［1］ |
Ciscoによると、悪用に成功した攻撃者はroot権限を得るため、悪用の証拠や痕跡を消したり隠したりしうる［1］。Ciscoは、機器の外のネットワークとファイアウォールのログを突き合わせ、機器から外部のIPアドレスへの想定外のアップロードや、悪意のあるIPアドレスからのダウンロードを探すよう強く推奨した［1］。
修正と回避策
Ciscoは、この脆弱性に対処する回避策は無いと説明し、16.5より前の版の利用者に16.5の修正版への移行を強く推奨した［1］。
10月31日の修正の更新版は、オンラインで入手できるエクスプロイトコードに関する新しい情報を受けて出したものである［1］。導入済みかは、CLIのretroscannerstatusコマンドでCisco Retro Remediation Engineが4.0.2以降かを見て確かめる［1］。16.5の修正版は、Retro Remediation Engineの版を問わずこの脆弱性に対処済みである［1］。
別の脆弱性CVE-2026-76519について、Rapid7は10月15日の追記で、CVE-2026-76461と修正版は同じで、CVE-2026-76461の修正版に更新した顧客はCVE-2026-76519にも対処済みになる見込みだとした［8］。The Hacker Newsは、9月のSQLインジェクションを修正した16.0.4-302の16.0の機器は、CVE-2026-76519には修正されていないと報じた［14］。
TACへの連絡と再構築
Ciscoは、悪用が疑われる機器について、物理機器と仮想機器に分けて対応を推奨した［1］。
- 物理機器ではCisco TACに連絡し、調査を早めるため、影響を受けた機器の遠隔アクセスを有効にする［1］。
- 仮想機器では、フォレンジック情報を保全してから、修正版の新しい仮想マシンを立て、設定を作り直す［1］。
- 仮想機器の資格情報と機器に入れた暗号鍵類を更新し、監視を続ける［1］。
- 侵害された機器を1台でも含むクラスタは、全メンバーを安全な構成に戻す［1］。
Ciscoは、新しいインスタンスを展開すると設定とログが失われると説明した［1］。クラスタのメンバー間の認証にはSSH鍵ペアを使うため、悪用された機器から秘密鍵を読まれると、他のメンバーが侵害されうる［1］。
クラウド版での措置
Ciscoは、Cisco Secure Email Cloudのすべての機器を16.5.0-780に更新し、Ciscoの管理下にある緩和策を展開した［1］。Secure Email CloudではCLIを使えない管理者が、痕跡を自ら確かめられないおそれがある［1］。Ciscoは、侵害の可能性を示す痕跡が見つかった機器の所有者に直接連絡し、修復と復旧に当たっている［1］。連絡を受けた顧客には、可能な場合は資格情報と機器に入れた暗号鍵類を更新して、機器を安全な構成に戻すよう強く推奨した［1］。
未公表の事項
- 悪用の具体的な手口と最初の悪用の日
- 侵害された機器・組織の数と、CiscoがSecure Email Cloudで連絡した顧客の数
- 攻撃者
- 侵害の後に盗まれた情報やメールの有無
- Ciscoが修正の更新で挙げた、オンラインで入手できるエクスプロイトコードの中身と公開元
注
出典
当事者
- ［1］Cisco Systems, Inc.『Cisco Secure Email Gateway SQL Injection Vulnerability』（2026年9月14日公開、2026年11月3日更新）
- ［2］Cisco Systems, Inc.『Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026』（2026年9月14日公開、2026年10月14日更新）
公的機関
- ［3］CVE Program『CVE-2026-76461』（2026年9月14日公開、2026年9月18日更新）
- ［4］Cybersecurity and Infrastructure Security Agency『Known Exploited Vulnerabilities Catalog』（2026年9月14日公開）
- ［5］National Institute of Standards and Technology『CVE-2026-76461』（2026年9月14日公開、2026年9月15日更新）
- ［6］一般社団法人JPCERTコーディネーションセンター『Cisco Secure Email GatewayにおけるSQLインジェクションの脆弱性（CVE-2026-76461）に関する注意喚起』（2026年9月15日公開）
- ［7］Hong Kong Computer Emergency Response Team Coordination Centre『Cisco Products Multiple Vulnerabilities』（2026年9月15日公開）
調査・観測
- ［8］Rapid7, Inc.『CVE-2026-76461: Critical Cisco Secure Email Gateway Vulnerability Exploited in the Wild』（2026年9月15日公開、2026年10月16日更新）
報道機関
- ［9］Wired Business Media『Root RCE Zero-Day in Cisco Secure Email Gateway Under Active Exploitation』（2026年9月15日公開）
- ［10］The Hacker News『Cisco Secure Email Gateway Flaw Exploited in the Wild, Enables Root Command Execution』（2026年9月15日公開）
- ［11］Scoop News Group『Cisco warns customers of actively exploited zero-day in email gateways』（2026年9月15日公開、2026年9月17日更新）
- ［13］株式会社ニュースガイア『「Cisco Secure Email Gateway」に脆弱性、悪用も - 侵害調査を呼びかけ』（2026年9月15日公開）
- ［14］The Hacker News『Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability』（2026年10月14日公開）
更新記録
- 2026年9月18日：公開した。
- 2026年10月14日：Ciscoの強化リリースのアドバイザリの10月14日の改訂（出典2）を「時系列」に、The Hacker Newsの10月14日の記事（出典14）を「修正と回避策」に加えた。
- 2026年10月16日：Rapid7の報告の10月16日の更新（出典8）にある10月15日の追記から、CVE-2026-76519との修正版の関係を「修正と回避策」に加えた。
- 2026年11月3日：Ciscoのアドバイザリの11月3日の改訂（出典1）で示された10月31日の修正の更新版と確認の方法をリードと「修正と回避策」に、改訂を「時系列」に加えた。